Si tu móvil ha vibrado esta semana con un SMS de Hacienda hablando de una devolución pendiente, para. No lo abras. La Policía Nacional y el INCIBE llevan meses alertando de una campaña de mensajes fraudulentos que suplantan a la Agencia Tributaria para vaciar cuentas bancarias, y el patrón se repite con cada campaña de la renta.
El mecanismo es simple y por eso funciona: un mensaje con remitente "AEAT" o "Hacienda", un enlace que imita la sede electrónica, y la promesa de un ingreso que casi nadie rechaza sin comprobar antes. Miles de personas ya han caído.
Cómo funciona la nueva estafa que suplanta a Hacienda
El SMS suele llegar con un texto que simula proceder de la Agencia Tributaria: te informa de una supuesta comunicación pendiente o de un error en tu declaración de la renta. El objetivo es que piches un enlace que te lleva a una web idéntica a la oficial, donde se pide número de cuenta, tarjeta y claves de acceso.
INCIBE detectó esta campaña de forma oficial el pasado mayo, y desde entonces no ha dejado de reactivarse. Los estafadores aprovechan justo los meses posteriores al cierre de la declaración, cuando muchos contribuyentes esperan una devolución real y bajan la guardia.
Por qué Hacienda nunca te va a escribir así
Hacienda ha sido clara en repetidas ocasiones: la Agencia Tributaria nunca solicita datos bancarios, números de tarjeta ni claves de acceso por SMS o correo electrónico. Tampoco envía enlaces directos para cobrar devoluciones. Cualquier trámite real se gestiona siempre desde la sede electrónica oficial o mediante carta certificada.
Esta técnica tiene nombre propio: se llama smishing, una variante del phishing que usa mensajes de texto en lugar de correos para suplantar la identidad de empresas o instituciones de confianza. No es un fenómeno nuevo, pero su sofisticación ha crecido mucho en los últimos dos años.
Las señales que delatan el SMS falso
Hay detalles que casi siempre delatan al mensaje fraudulento, aunque a simple vista parezca convincente. El número emisor no coincide con canales oficiales, el enlace no termina en "agenciatributaria.es" o "agenciatributaria.gob.es", y el tono es desproporcionadamente urgente para tratarse de un trámite administrativo.
Otro rasgo habitual: los mensajes reales de la administración siempre se dirigen a ti de forma nominal, con tu nombre completo y parte de tu DNI. Las campañas fraudulentas usan textos genéricos, muchas veces con faltas de ortografía o espacios dobles injustificados entre palabras.
Qué hacer si ya has pinchado el enlace
Si has introducido tus datos en la web falsa, el tiempo importa. La reacción rápida reduce mucho el daño, y las entidades bancarias tienen protocolos pensados justo para estos casos.
Estos son los pasos que recomiendan la Policía Nacional y las asociaciones de consumidores:
- Contacta con tu banco de inmediato para bloquear tarjetas y cuentas afectadas.
- Cambia todas las contraseñas relacionadas, especialmente si reutilizas claves en otros servicios.
- Guarda capturas de pantalla del SMS y de la web falsa como prueba.
- Denuncia el hecho ante la Policía Nacional o a través de la web del INCIBE.
Cómo protegerte antes de que llegue el próximo SMS
Más allá de reaccionar, la mejor defensa es la prevención activa. Nunca actúes desde un enlace que te ha llegado sin que lo esperaras, por convincente que parezca el mensaje.
Verifica siempre por canales propios
Si esperas una devolución o tienes dudas sobre tu situación fiscal, entra directamente en la sede electrónica tecleando la URL en el navegador, con tu certificado digital o Cl@ve. Nunca desde el enlace del mensaje recibido, ni aunque el diseño parezca idéntico al oficial.
Desconfía de la urgencia como estrategia
Los estafadores dependen de que actúes rápido y sin pensar. Cualquier mensaje que mezcle miedo a una sanción con la promesa de un ingreso rápido merece sospecha automática, venga de quien venga.
Lo que viene: una amenaza que evoluciona más rápido que las defensas
La buena noticia es que la conciencia sobre el smishing crece cada año, y bancos, Policía y Hacienda coordinan avisos cada vez más rápido cuando detectan una campaña activa. Cada alerta pública reduce el margen de maniobra de los estafadores antes de que hagan daño masivo.
Aun así, la tecnología detrás de estas campañas también avanza, con webs falsas cada vez más difíciles de distinguir de las oficiales. El consejo de los expertos sigue siendo el mismo de siempre: la calma y la verificación por canales propios ganan casi siempre a la prisa que impone un SMS.
